Un avviso di accesso sconosciuto può essere autentico, ma un’email o un SMS possono imitare la grafica del servizio e portare a una pagina che copia la schermata di login. Anche il nome visualizzato del mittente è falsificabile. Evita di aprire link o allegati dalla notifica finché non hai verificato l’attività in un canale indipendente.
Perché è importante
- Il mittente e il logo non provano che un messaggio di sicurezza sia autentico.
- Aprire il servizio da un segnalibro o digitando l’indirizzo evita di consegnare la password a una pagina imitata.
- Terminare sessioni sconosciute, cambiare una password riutilizzata e attivare l’autenticazione a più fattori aiuta a contenere un accesso non riconosciuto.
Prima verifica il percorso, non il messaggio
Apri l’app che usi di solito oppure digita manualmente l’indirizzo del servizio. Se possiedi un segnalibro salvato da tempo, puoi partire da lì. Nella sezione sicurezza cerca accessi recenti, dispositivi collegati o sessioni attive. Se non esiste una notifica nel pannello, il messaggio potrebbe essere un’esca; segnalalo come phishing senza interagire.
Valuta l’attività senza affidarti a un solo indizio
Controlla orario, tipo di dispositivo, browser e area geografica. La posizione può essere approssimativa per effetto di VPN, rete aziendale o operatore mobile, quindi un luogo inatteso da solo non dimostra una compromissione. Un dispositivo che non hai mai usato o una sessione mentre eri offline merita invece un controllo immediato.
Se il servizio consente di terminare la sessione, chiudi quella che non riconosci e controlla anche eventuali app collegate, regole di inoltro email e metodi di recupero. In un account email, verifica soprattutto indirizzi, numeri e filtri che potrebbero nascondere messaggi di sicurezza.
Cosa puoi farci concretamente
- Non usare il pulsante del messaggio. Apri l’app ufficiale o digita l’indirizzo già noto, quindi cerca la sezione Sicurezza, Attività recenti o Dispositivi.
- Confronta ora, area approssimativa e dispositivo; se non riconosci la sessione, chiudila e controlla email e numero di recupero. Non basarti solo sulla posizione: rete mobile e VPN possono renderla imprecisa.
- Cambia la password dal servizio, partendo dall’email principale se è coinvolta; usa una password unica, rimuovi app o sessioni sconosciute e abilita MFA. Se non entri, usa il recupero ufficiale e avvisa i contatti se sono partiti messaggi a tuo nome.
Se l’accesso è reale, metti in sicurezza la catena
Cambia la password dal sito o dall’app autentici. Se la stessa password era usata altrove, cambiala anche su quei servizi, iniziando dalla casella email: chi controlla l’email può spesso reimpostare altri account. Usa password distinte e un gestore affidabile per non doverle riutilizzare.
Esci dalle sessioni che non riconosci, revoca autorizzazioni di app inutilizzate e attiva l’autenticazione a più fattori. Conserva codici di recupero in un luogo accessibile ma protetto. Se non riesci più a entrare, usa il recupero ufficiale digitando l’indirizzo e avvisa i contatti da un altro canale se qualcuno potrebbe ricevere messaggi a tuo nome.
Non condividere codici e non pagare per il recupero
Nessun operatore legittimo dovrebbe chiederti di leggere a voce un codice monouso o di approvare una notifica che non hai avviato. Non installare software di assistenza remota indicato da chi ti contatta per un presunto allarme. Se l’account gestisce pagamenti o dati di lavoro, avvisa subito l’assistenza IT o l’istituto coinvolto usando recapiti verificati.
La FTC raccomanda di non cliccare link inattesi e di attivare più fattori quando disponibili. La guida non può confermare se un singolo avviso sia autentico: la verifica va fatta dall’interno dell’account e l’assistenza deve arrivare dal canale ufficiale.
Fonti
Documenti, comunicati e pubblicazioni consultati per ricostruire dati e contesto.
